Fiche de révision : Sûreté et sécurité informatique

📋 Plan du Cours

1. Enjeux stratégiques de la cybersécurité
2. Panorama des cybermenaces
3. Hameçonnage et réflexes de vérification
4. Ingénierie sociale et manipulation
5. Rançongiciels et fuites de données
6. Mots de passe et authentification
7. Sauvegarde et continuité d’activité
8. Principes fondamentaux du RGPD
9. Cybersécurité et posture QSE

📖 1. Enjeux stratégiques de la cybersécurité

★ À maîtriser

📌 La cybersécurité est un enjeu stratégique pour toute organisation en raison de sa dépendance numérique, de l’impact financier des incidents, des obligations légales et de la fragilité de la confiance.

• Une panne ou une compromission d’un seul maillon numérique peut paralyser l’ensemble de l’activité de l’organisation.

Compléments

• Un incident de sécurité peut entraîner une rançon, des amendes réglementaires, un arrêt d’activité et des coûts de remédiation pouvant atteindre plusieurs millions d’euros pour une seule erreur humaine.

💡 Astuce mémo

Dépendance numérique → impacts financiers, juridiques et réputationnels

📖 2. Panorama des cybermenaces

📝 Points essentiels

• Les quatre grandes familles de risques numériques sont:

  • l’hameçonnage
  • l’ingénierie sociale
  • les rançongiciels
  • les fuites de données

• Dans la grande majorité des cas, le point d’entrée d’une attaque est une erreur ou une négligence humaine plutôt qu’une faille technique sophistiquée.

💡 Astuce mémo

HIER : Hameçonnage, Ingénierie sociale, Extorsion par rançongiciel, Fuites

📖 3. Hameçonnage et réflexes de vérification

🔑 Notions clés & Définitions

• Hameçonnage : Fraude dans laquelle un pirate usurpe l’identité d’une personne ou d’une organisation de confiance pour voler des informations sensibles ou pousser la victime à agir.

📝 Points essentiels

• Les quatre signaux d’alerte sont:

  • un expéditeur suspect
  • un sentiment d’urgence ou de menace
  • un lien ou une pièce jointe non sollicités
  • une demande d’informations personnelles ou bancaires

• 🔄 En cas de doute face à un message: ne pas cliquer, vérifier l’expéditeur et l’URL réelle, contacter l’organisme par un autre canal officiel

💡 Astuce mémo

Douter → vérifier l’expéditeur → contrôler le lien → contacter autrement

📖 4. Ingénierie sociale et manipulation

🔑 Notions clés & Définitions

• Ingénierie sociale : Manipulation psychologique qui pousse une personne à enfreindre les règles de sécurité en exploitant la confiance, l’autorité, l’envie d’aider ou la peur.

📝 Points essentiels

📌 L’hameçonnage est une forme particulière d’ingénierie sociale, mais l’ingénierie sociale peut aussi prendre la forme d’un appel téléphonique, d’un message instantané ou d’une approche physique.

📌 Il ne faut jamais communiquer un mot de passe par téléphone ou par message, car un service informatique légitime n’a jamais besoin de le connaître.

💡 Astuce mémo

Confiance apparente ≠ identité vérifiée

📖 5. Rançongiciels et fuites de données

🔑 Notions clés & Définitions

• Rançongiciel : Logiciel malveillant qui chiffre les fichiers accessibles sur un poste ou un réseau et exige une rançon, généralement en cryptomonnaie, pour fournir une clé de déchiffrement.
• Fuite de données : Divulgation d’informations sensibles ou confidentielles hors du cadre prévu, de manière accidentelle ou malveillante.

★ À maîtriser

• 🔄 En cas d’infection suspectée: déconnecter immédiatement le poste du réseau, alerter le service informatique ou le référent sécurité, ne jamais payer la rançon

Compléments

📌 Le principe du moindre privilège impose que chaque personne n’accède qu’aux données dont elle a réellement besoin.

💡 Astuce mémo

Erreur humaine → compromission → chiffrement ou divulgation

📖 6. Mots de passe et authentification

🔑 Notions clés & Définitions

• Authentification multifacteur : Ajout au mot de passe d’une seconde preuve d’identité, souvent un code temporaire, afin de bloquer la connexion d’un attaquant qui aurait volé le mot de passe.

★ À maîtriser

📌 Un mot de passe robuste vise au minimum 12 caractères et mélange majuscules, minuscules, chiffres et symboles.

📌 La règle de sécurité est d’utiliser un mot de passe unique pour chaque service, car la compromission d’un compte ne doit pas exposer les autres comptes.

Compléments

• Un gestionnaire de mots de passe est un coffre-fort numérique chiffré qui mémorise les mots de passe et peut en générer de robustes pour chaque compte.

💡 Astuce mémo

Mot de passe réutilisé ≠ mot de passe unique et robuste

📖 7. Sauvegarde et continuité d’activité

★ À maîtriser

• La règle de sauvegarde recommande:
  • 3 copies des données
  • 2 supports différents
  • 1 copie hors site

📌 Une sauvegarde doit être régulièrement testée par une restauration réelle, car une copie corrompue ou incomplète ne constitue pas une garantie.

📌 Le PCA organise le maintien de l’activité pendant un incident, tandis que le PRA organise le retour à la normale après l’incident.

Compléments

📌 Les sauvegardes doivent être régulières et automatisées, idéalement quotidiennes, afin de limiter la perte de données lors d’un incident.

💡 Astuce mémo

3-2-1 : trois copies, deux supports, une copie hors site

📖 8. Principes fondamentaux du RGPD

🔑 Notions clés & Définitions

• RGPD : Cadre juridique européen qui encadre la collecte et le traitement des données à caractère personnel.

★ À maîtriser

• Les six principes fondamentaux du RGPD sont:

  • la licéité et la transparence
  • la finalité
  • la minimisation
  • la conservation limitée
  • la sécurité et la confidentialité
  • la responsabilité

• Le principe de finalité impose de collecter les données pour un objectif déterminé, explicite et légitime, sans les réutiliser pour une finalité incompatible.

• Le principe de minimisation impose de collecter uniquement les données strictement nécessaires à la finalité poursuivie.

• Lorsqu’une fuite concerne des données personnelles, elle doit être notifiée à la CNIL dans un délai de 72 heures.

Compléments

📌 Le principe de responsabilité impose à l’organisation de pouvoir démontrer sa conformité aux cinq autres principes grâce à une documentation adaptée.

💡 Astuce mémo

LFMCS-R : Licéité, Finalité, Minimisation, Conservation, Sécurité, Responsabilité

📖 9. Cybersécurité et posture QSE

★ À maîtriser

• La sécurité informatique soutient en QSE:
  • la gestion documentaire
  • les rapports d’audit
  • la fiabilité des indicateurs
  • la continuité d’activité

📌 La gestion documentaire QSE exige que la bonne version du bon document soit accessible aux bonnes personnes, grâce aux droits d’accès, au contrôle des versions et à la traçabilité des modifications.

• La posture responsable repose sur cinq engagements:

  • rester vigilant
  • signaler tout doute ou incident
  • assumer sa responsabilité
  • rester informé des nouvelles menaces
  • vérifier toute demande inhabituelle par un canal indépendant

• La plupart des incidents étudiés trouvent leur origine dans une négligence ou une erreur humaine évitable plutôt que dans une faille technique complexe.

Compléments

• Le risque numérique doit être intégré aux PCA et PRA au même titre que l’incendie, l’accident ou la rupture d’approvisionnement.

💡 Astuce mémo

Vigilance et traçabilité → données fiables, audits crédibles et activité continue

📊 Tableaux de synthèse

Quatre familles de risques numériques